A falha crítica do Oracle PeopleSoft explorada pelo grupo ShinyHunters desde maio não é uma única vulnerabilidade, mas uma cadeia de três falhas, segundo os pesquisadores que a reportaram.
Em junho, a Oracle corrigiu as três falhas sob um único identificador,
CVE-2026-35273
. A cadeia começa com uma vulnerabilidade de server-side request forgery (SSRF), que permite acessar uma interface interna de gerenciamento porque, por padrão, o PeopleSoft confia no endereço de loopback. Isso abre caminho para a execução remota de código (RCE) sem autenticação.
Bobby Gould, da Zero Day Initiative (ZDI), detalhou a análise. A equipe da ZDI reportou a falha à Oracle.
A ZDI informou que comunicou três vulnerabilidades distintas em dois componentes do PeopleSoft e que trabalha com a Oracle para atribuir um CVE separado a cada uma. Até esta semana, o identificador publicado em junho continua sendo o único registrado.
A
CVE-2026-35273
afeta as versões 8.61 e 8.62 do PeopleSoft Enterprise PeopleTools, tem pontuação CVSS de 9,8 e permite que um invasor sem autenticação assuma o controle do servidor pela rede. A Oracle disponibilizou a correção em um alerta de segurança extraordinário em 10 de junho. A falha também consta no catálogo de vulnerabilidades exploradas conhecidas da CISA.
Os invasores já exploravam a vulnerabilidade antes da disponibilização da correção. A Mandiant e o Google Threat Intelligence Group (GTIG) atribuem uma campanha ao grupo que monitoram como UNC6240, mais conhecido como ShinyHunters. Entre 27 de maio e 9 de junho, o grupo explorou a falha principalmente contra universidades. Como a atividade ocorreu antes do alerta da Oracle, publicado em 10 de junho, a vulnerabilidade foi um zero-day durante todo esse período.
Em uma atualização publicada em setembro, a Mandiant relatou uma nova onda de ataques, mais ampla, que se espalhou para além do setor de educação e atingiu empresas de tecnologia, serviços de TI, saúde, agricultura, transporte e órgãos governamentais. Dezenas de sistemas em todo o mundo foram afetados.
A análise da ZDI explica o que o patch corrigiu. A cadeia envolve dois componentes do PeopleSoft, cada um executado como uma aplicação web separada. O Integration Gateway (PSIGW) troca mensagens com sistemas externos. Já o Environment Management Hub (PSEMHUB) é uma interface interna de administração que, em tese, deveria responder apenas a sistemas confiáveis.
A primeira falha é uma SSRF no PSIGW. Segundo a ZDI, o invasor envia uma solicitação ao conector do componente e controla tanto o endereço de destino quanto todo o conteúdo enviado. O sistema não verifica se o destino é legítimo. Por si só, essa falha teria alcance limitado, não fosse o que ela permite acessar.
O PSEMHUB determina em quem confiar consultando uma lista no arquivo allowedhosts.properties. Esse arquivo já inclui o endereço de loopback 127.0.0.1. Assim, o invasor direciona a SSRF para esse endereço, e a solicitação chega como se tivesse sido enviada pela própria máquina. A verificação de confiança é aprovada, e a interface interna que a Oracle pretendia manter isolada passa a ser acessível externamente.
A partir daí, a ZDI descreve duas formas de transformar o acesso em execução de código. A primeira abusa de um comando do PSEMHUB destinado a gravar registros. Como o solicitante controla o conteúdo e o caminho exato do arquivo, pode criar um web shell no diretório da aplicação e executar comandos com a conta de serviço do PeopleSoft.
A segunda forma consiste em gravar um arquivo XML malicioso, que o PSEMHUB lê com o XMLDecoder do Java na próxima inicialização do serviço. Isso executa o código do invasor sem a necessidade de instalar um web shell. Esse método deixa menos rastros para os mecanismos convencionais de detecção.
Segundo a ZDI, o problema central está na decisão de permitir o acesso local por padrão. Quando existe uma SSRF, essa configuração torna ineficaz a verificação de confiança. O detalhe é relevante para equipes de defesa que acreditavam estar protegidas por uma regra de firewall.
Na onda de ataques de setembro, a Mandiant identificou o ShinyHunters contornando regras de firewall de aplicações web (WAF) que bloqueavam o caminho /PSEMHUB/. Para isso, o grupo codificava um único caractere na URL e acessava /%50SEMHUB/. Muitas regras de WAF verificam o texto simples do caminho, enquanto o servidor PeopleSoft decodifica a URL e exibe a página.
O que fazer
As medidas e recomendações a seguir são da Oracle e da Mandiant. A análise da ZDI descreve a falha, não a resposta a incidentes.
- **Instale o patch.** Aplique a correção indicada no alerta de segurança da Oracle para a
CVE-2026-35273
e mantenha o PeopleTools em uma versão com suporte. A Mandiant ressalta que bloquear caminhos por meio de regras de WAF não substitui a instalação da correção.
- **Se ainda não puder instalar o patch,** desative o serviço Environment Management Hub em ambientes com vários servidores ou remova a aplicação PSEMHUB em instalações com um único servidor, conforme recomendado no alerta da Oracle. Restringir esses pontos de administração não interrompe as sessões normais dos usuários.
- **Se houver suspeita de comprometimento,** a Mandiant recomenda tratar qualquer máquina com um web shell como comprometida, preservar as evidências e trocar todas as credenciais acessíveis a partir da infraestrutura do PeopleSoft. Como o ShinyHunters rouba dados e depois exige pagamento, as organizações afetadas devem se preparar para uma tentativa de extorsão.
As fontes não esclarecem se a instalação do patch remove o acesso que um invasor já tenha obtido. O alerta da Oracle não aborda essa questão, e a recomendação da Mandiant de trocar credenciais e procurar web shells parte do princípio de que isso não ocorre. A correção fecha a porta, mas, por si só, não expulsa quem já está dentro.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...